Cảnh báo APT

Nhóm Hacker FamousSparrow Tấn Công Đa Làn Sóng Vào Ngành Năng Lượng Azerbaijan

Một chiến dịch gián điệp mạng có liên quan đến Trung Quốc đã nhắm mục tiêu vào một công ty dầu khí tại Azerbaijan thông qua việc khai thác liên tục các lỗ hổng trên máy chủ Microsoft Exchange Server từ cuối năm 2025 đến đầu năm 2026.

Chi tiết cuộc tấn công

Theo báo cáo từ Bitdefender, nhóm tin tặc FamousSparrow (còn được gọi là UAT-9244) đã thực hiện ít nhất ba làn sóng tấn công vào một mục tiêu duy nhất. Đáng chú ý, kẻ tấn công đã liên tục sử dụng cùng một điểm yếu trên Microsoft Exchange Server dù doanh nghiệp đã cố gắng khắc phục.

Lỗ hổng khai thác
Chuỗi khai thác ProxyNotShell trên Microsoft Exchange được sử dụng để chiếm quyền truy cập ban đầu.

Mã độc triển khai
Deed RAT (Snappybee) và TernDoor là hai công cụ chính được sử dụng để duy trì sự hiện diện và đánh cắp dữ liệu.

Kỹ thuật lẩn tránh
Sử dụng kỹ thuật DLL Side-loading thông qua các file thực thi hợp lệ như LogMeIn Hamachi để vượt qua các lớp bảo mật.

Các giai đoạn xâm nhập

Cuộc tấn công diễn ra theo một kịch bản bền bỉ và lặp đi lặp lại:

Làn sóng 1 (25/12/2025): Triển khai Deed RAT thông qua các shell web.
Làn sóng 2 (Cuối tháng 1/2026): Thử nghiệm mã độc TernDoor bằng Mofu Loader.
Làn sóng 3 (Cuối tháng 2/2026): Quay lại với một phiên bản Deed RAT đã được tinh chỉnh, sử dụng hạ tầng C2 mới để tránh bị phát hiện.

HÀNH ĐỘNG KHẨN CẤP CHO DOANH NGHIỆP

Cập nhật bản vá: Đảm bảo tất cả máy chủ Microsoft Exchange đã được vá các lỗ hổng ProxyNotShell và các lỗ hổng liên quan.
Đổi thông tin đăng nhập: Thực hiện thay đổi toàn bộ mật khẩu và xoay vòng các chứng chỉ bảo mật ngay khi phát hiện dấu hiệu xâm nhập.
Rà soát hệ thống: Kiểm tra sự hiện diện của các tệp DLL lạ và các tiến trình con được khởi tạo từ phần mềm hợp lệ như Hamachi.
Giám sát liên tục: Triển khai giải pháp EDR/XDR để phát hiện các hành vi di chuyển ngang hàng (lateral movement) trong mạng nội bộ.

Nguồn tham khảo: The Hacker News & Bitdefender

LIÊN HỆ ĐỘI NGŨ ỨNG CỨU SỰ CỐ TMGS

Công ty năng lượng Azerbaijan bị tấn công liên tục qua lỗ hổng Microsoft Exchange